DPO — Data Protection Officer (artt. 37-39)

Art. 37 — Designazione obbligatoria

a) Autorità pubbliche

• PA sempre

b) Attività principali

• Monitoraggio sistematico larga scala

c) Categorie particolari

• Larga scala

Autorità pubbliche

Obbligatoria

• Sempre

Eccezione

• Autorità giudiziarie

Monitoraggio sistematico

Profilazione

• Estesa

Videosorveglianza estesa

Tracking online

Dati particolari larga scala

Sanitario

• Ospedali

Ricerca

• Biometria

Larga scala — criteri

Numero interessati

• Rilevante

Volume dati

• Grande

Durata

• Lunga

Estensione geografica

Designazione facoltativa

Altri casi

• Raccomandata

Best practice

Requisiti DPO (art. 37.5)

Competenze specialistiche

• Legge + prassi privacy

Capacità

• Assolvere compiti

Titoli

Non specifici

• GDPR

Ma

• Esperienza/formazione

Qualifiche raccomandate

Legale + IT

• Combinazione

Certificazioni

UNI 11697:2017

• Italia

UNI 11697:2017

Profilo DPO

• Standard italiano

Certificazione

• Accreditata

Gruppo di lavoro

DPO può essere

• Team

Un capo designato

Esterno vs interno

Art. 37.6

• Entrambi ammessi

Esterno via contratto

• Di servizio

Vantaggi DPO interno

Conoscenza

• Organizzazione

Disponibilità

• Continua

Vantaggi DPO esterno

Specializzazione

• Massima

Costi

• Ottimizzabili

Pubblicazione

Dati contatto

• Art. 37.7
• Comunicati

Al Garante

E pubblici

Art. 38 — Posizione

Tempestivo coinvolgimento

• Tutti i processi

Supporto

• Risorse

Indipendenza

Art. 38.3

• Non istruzioni su esercizio

Riferisce

• Al vertice

Non licenziabile

Art. 38.3

• Per funzioni

Tutela

• Indipendenza

Conflitto interessi

Vietato

• Art. 38.6

Ruoli compatibili

• Non quelli direttivi

Esempi conflitto

CEO, CIO

• Non DPO

Direttore HR

• Problematico

Consulente legale

• Possibile ma attenzione

Funzioni DPO (art. 39)

1. Informazione e consulenza

2. Sorveglianza applicazione GDPR

3. Consulenza DPIA

4. Cooperazione Garante

5. Punto contatto Garante

Informazione e consulenza

Titolare, responsabile

• Dipendenti

Formazione

• Obblighi

Sorveglianza

Compliance

• Monitoraggio

Audit

• Interni

DPIA

Supporto

• Art. 35

Consulenza

• Metodologia

Punto di contatto

Interessati

• Possono rivolgersi

Garante

• Interfaccia

Responsabilità DPO

Non sanzionato direttamente

• Art. 83

Civile/disciplinare

• Possibile

Ruolo consultivo

Non decisionale

• DPO consiglia

Titolare decide

Registro richieste

Interessati

• Tracciati

DPO

• Ricevute

Attività quotidiane

Revisioni informative

Consulenza progetti

Formazione

Audit

Gestione breach

Relazioni con Garante

Formazione DPO

Continua

• Aggiornamenti

Obbligatoria

• De facto

Risorse

Art. 38.2

• Adeguate

Accesso

• Risorse necessarie

Tempo dedicato

Proporzionato

• Complessità

Anche

• Altre funzioni

Retribuzione DPO

Libera

• Mercato

Contratto esterno

• Tariffa

DPO per gruppi aziendali

Un unico DPO

• Art. 37.2

Se accessibile a tutti

DPO pubblico

Art. 37.3

• Più autorità pubbliche

Uno solo

• Possibile

DPO condiviso

Piccoli comuni

• Spesso

Risorse ottimizzate

Contratto DPO esterno

Detagli

• Obblighi

Indipendenza

• Clausola

Tutela

Licenziamento

• Discriminatorio
• Vietato

Sanzioni omessa nomina

Art. 83.4 a

• Fino 10 milioni

O 2% fatturato

Garante casi

Omissione DPO

• Sanzionata

PA soprattutto

Polizia Locale — DPO

DPO del Comune

• Generalmente

PL

• Parte

DPO comunale

Consulta

• Uffici

Formazione

• PL

Registro attività PL

DPO supervisiona

• Compilazione

Body-cam

DPIA

• Con DPO

Parere

• Obbligatorio

Data breach PL

DPO informato

• Subito

Notifica Garante

Formazione PL

Annuale

• Consigliata

Tematiche

• Specifiche

Interazione con cittadini

DPO punto contatto

• Diritti interessati

Dati contatto pubblici

Pubblicità DPO

Sito web

• Dati

Informativa

• Inclusi

EDPB linee guida

DPO

• WP243

Approfondite

Garante italiano — FAQ

DPO

• Numerose

Aggiornamento

Certificazioni DPO

Accredia

• Schema

UNI 11697

TÜV Italia, Bureau Veritas

Certificatori

• Vari

Associazioni DPO

AssoDPO

• Italia

Federprivacy

Rete professionale

Dati pubblicati DPO

Nome/contatti

• Sito web

Comunicazione Garante

Responsabilità civile

Cliente → DPO

• Contratto esterno

Malaservizio

Errori DPO

Non direttamente sanzioni GDPR

• Ma titolare sanzionato

Retribuzione

• Responsabilità

Adeguatezza risorse

Se DPO non può lavorare

• Titolare responsabile

Rimedi

Garante ispeziona

• DPO presente

Prime verifiche

Documentazione DPO

Registro attività

• DPO tiene

Consulenze date

• Tracciabilità

Report annuale

DPO a vertice

• Stato privacy

Miglioramenti

Difficoltà DPO PA

Indipendenza

• Problematica in enti piccoli

Competenze

• Carenti a volte

Federalismo DPO

Coordinamento

• Comuni

Best practice

Conclusioni

Figura chiave

• GDPR

Per PA

• Obbligatoria

Per privacy

• Garante interno

Per PL

• Consulente importante